]> git.ipfire.org Git - thirdparty/ipset.git/commit
ipset: Allow matching on destination MAC address for mac and ipmac sets
authorStefano Brivio <sbrivio@redhat.com>
Fri, 17 Aug 2018 19:09:47 +0000 (21:09 +0200)
committerJozsef Kadlecsik <kadlec@blackhole.kfki.hu>
Thu, 30 Aug 2018 08:30:55 +0000 (10:30 +0200)
commit1543514c46a7a552aca0e1bb74d66ea98ecf3e38
tree321bc6f3139ad58617cd60a20d031b8d47b60b58
parentbdd09d11cf09fbe93963229fb2d686ad03126daa
ipset: Allow matching on destination MAC address for mac and ipmac sets

There doesn't seem to be any reason to restrict MAC address
matching to source MAC addresses in set types bitmap:ipmac,
hash:ipmac and hash:mac. With this patch, and this setup:

  ip netns add A
  ip link add veth1 type veth peer name veth2 netns A
  ip addr add 192.0.2.1/24 dev veth1
  ip -net A addr add 192.0.2.2/24 dev veth2
  ip link set veth1 up
  ip -net A link set veth2 up

  ip netns exec A ipset create test hash:mac
  dst=$(ip netns exec A cat /sys/class/net/veth2/address)
  ip netns exec A ipset add test ${dst}
  ip netns exec A iptables -P INPUT DROP
  ip netns exec A iptables -I INPUT -m set --match-set test dst -j ACCEPT

ipset will match packets based on destination MAC address:

  # ping -c1 192.0.2.2 >/dev/null
  # echo $?
  0

Reported-by: Yi Chen <yiche@redhat.com>
Signed-off-by: Stefano Brivio <sbrivio@redhat.com>
Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>
kernel/net/netfilter/ipset/ip_set_bitmap_ipmac.c
kernel/net/netfilter/ipset/ip_set_hash_ipmac.c
kernel/net/netfilter/ipset/ip_set_hash_mac.c